Információbiztonság - 41/2015 BM

41/2015. (VII. 15.) BM rendelet információbiztonsági szintek

Mára szinte minden vállalkozás megtalálható a világhálón, s újfajta kommunikáció kezdődött meg a szolgáltatók és fogyasztók között. Szinte kizárólagosan mindenhol vannak információs adattárolások, ezt minden olyan vállalkozás és szerv számára kötelező figyelembe venni, ahol történnek adattárolások. Erről készült egy rendelet.

A rendelet arról szól, hogy magát az elektronikus információs rendszer miképpen és milyen módon használjuk. Lényegében egy szabályzatot kell alkotni a rendelet 2. mellékletében, és a rendszer biztonságáért felelős személy megállapítja, hogy milyen besorolásban van a rendszer. Ez azért fontos, hogy lássuk, hogy egy-egy rendszer mennyire komoly adatokat tartalmaz.

A rendelet 2. melléklete pont azt hivatott szolgálni, hogy rendszert ez alapján a megfelelő biztonsági fokozatokba lehet besorolni.

1. Az érintett szervezet biztonsági szintje 1.

Ha a szervezet nem üzemeltet és nem fejleszt elektronikus információs rendszert, és saját hatáskörben erre más szervezetet vagy szolgáltatót (ide nem értve a telekommunikációs szolgáltatót) sem vesz igénybe. Az adatfeldolgozás módját nem maga határozza meg, az adatkezelés tekintetében technikai vagy információtechnológiai döntést nem hoz, a használt elektronikus információs infrastruktúra kialakítása tekintetében döntési jogköre - ide nem értve a szervezet munkavégzését érintő informatikai rendszerelemek elhelyezését - nincs, egyedi adatokat és információkat kezel vagy dolgozz fel, és kritikus adatot nem kezel. A szervezet információbiztonsági tevékenysége elsődlegesen az elektronikus információs rendszerrel kapcsolatba kerülő személyek információbiztonsággal kapcsolatos kötelezettségeinek szabályozására, számonkérésére terjed ki, addig a mértékig, ameddig a szervezet vagy az egyes személyek tevékenysége az elektronikus információs rendszerre hatást tud gyakorolni.

2. Az érintett szervezet biztonsági szintje 2.

Ha a szervezet vagy szervezeti egység az 1. szinthez rendelt jellemzőkön túl olyan elektronikus információs rendszert használ, amely személyes adatokat kezel, és a szervezet jogszabály alapján kijelölt szolgáltatót vesz igénybe.

3. Az érintett szervezet biztonsági szintje 3.

Ha a szervezet vagy szervezeti egység a 2. szinthez rendelt jellemzőkön túl szakfeladatait támogató elektronikus információs rendszert használ, de nem üzemelteti azt. A szervezet kritikus adatot, nem minősített, de nem közérdekű, vagy közérdekből nyilvános adatot kezel, központi üzemeltetésű, és több szervezetre érvényes biztonsági megoldásokkal védett elektronikus információs rendszerek vagy zárt célú elektronikus információs rendszer felhasználója, illetve feladatai támogatására más külső szolgáltatót vesz igénybe.

4. Az érintett szervezet biztonsági szintje 4.

Ha a szervezet vagy szervezeti egység a 3. szinthez rendelt jellemzőkön túl elektronikus információs rendszert vagy zárt célú elektronikus információs rendszert üzemeltet vagy fejleszt.

5. Az érintett szervezet biztonsági szintje 5.

Ha a szervezet vagy szervezeti egység a 4. szinthez rendelt jellemzőkön túl európai létfontosságú rendszerelemmé és a nemzeti létfontosságú rendszerelemmé törvény alapján kijelölt rendszerelemek elektronikus információs rendszereinek üzemeltetője, fejlesztője, illetve az információbiztonsági ellenőrzések, tesztelések végrehajtására jogosult szervezet vagy szervezeti egység.

A teljes rendelet ITT olvasható

Ugyancsak számít az is, hogy a rendszert cégen belül kezeli valaki vagy esetlegesen akad más üzemeltetője is.

Kockázatelemzés az alapja ennek a rendeletnek és nem csak állami és önkormányzati szervekre vonatkozik, hanem a kritikus információs infrastruktúra használókra is, tehát például közlekedési vállalatok, közműszolgáltatók vagy más jelentős cégek, melyek számos állampolgári adatot rögzítenek és tárolnak.

A rendelet az valójában az, hogy hogyan készítsük el a biztonsági besorolását az érintett “szervezetnek” es ennek az alapja a kockázatelemzés az adatkezelésről (a teljesség igénye nélkül).

Ennek a működtetése nagyon fontos, és köteles kijelölni egy erre felelős személyt, a korábban említett képestésnek megfelelően.

Megtudjuk csinálni a saját besorolásunkat is, ahhoz azt kell tudni, hogy kik vagyunk mi pontosan és mit szeretnénk. Ha erre megvan a válasz, onnan már könnyebb visszafejteni a rendeletből a helyes besorolást.